Compartir datos de pacientes: mejores prácticas de seguridad

El RGPD clasifica los datos de salud como categoría especial (artículo 9) y exige medidas técnicas y organizativas reforzadas en cada tratamiento. La AEPD ha impuesto sanciones superiores a 300.000 euros a centros sanitarios por compartir datos de pacientes sin las garantías adecuadas. El punto de partida práctico: cifrado AES-256-GCM en reposo, TLS 1.3 en tránsito, autenticación multifactor, acuerdos de encargado de tratamiento con cada proveedor, y registros de auditoría que un inspector pueda reconstruir sin llamar al soporte técnico.

El principio de minimización de datos

El RGPD (artículo 5.1.c) y la LOPDGDD exigen compartir únicamente los datos estrictamente necesarios para el fin perseguido. Esto aplica tanto al uso interno como a las comunicaciones con otros responsables y encargados.

En la práctica:

• Derivaciones: compartir el subconjunto clínicamente relevante, no el historial completo
• Facturación: datos de facturación y documentación de apoyo, sin notas clínicas
• Investigación: datos anonimizados o seudonimizados siempre que sea posible
• Requerimientos legales: solo lo que responde específicamente a la solicitud
• Medición de calidad: datos agregados o anonimizados cuando sea viable

Los sistemas de historia clínica electrónica (HCE) soportan esto mediante plantillas de acceso basado en roles: el médico ve todo; recepción accede a agenda y seguros; facturación ve datos financieros pero no notas clínicas. Configure estas plantillas por rol, no por usuario individual.

Consentimiento del paciente: cuándo es obligatorio

El RGPD distingue entre tratamientos amparados por la asistencia sanitaria —que no requieren consentimiento explícito adicional bajo el artículo 9.2.h— y otros usos que sí lo exigen.

Tratamientos sin consentimiento adicional requerido:

• Compartir con otros profesionales para el tratamiento del paciente
• Facturación y gestión económica del centro
• Evaluación de la calidad asistencial, formación y acreditación

Tratamientos que requieren consentimiento explícito:

• Comunicaciones de marketing (con excepciones muy limitadas)
• Cesión de datos a terceros para sus propios fines
• Investigación clínica sin anonimización completa
• Notas de psicoterapia (la mayoría de divulgaciones)
• Datos genéticos para finalidades distintas de las asistenciales

La LOPDGDD añade requisitos adicionales sobre el tratamiento de datos de menores y de categorías especialmente sensibles. Consulte siempre la normativa más restrictiva aplicable a cada situación concreta.

Canales de intercambio entre profesionales

Para fines asistenciales legítimos, los profesionales disponen de múltiples opciones de intercambio:

Mensajería segura corporativa: soluciones como TigerConnect o Klara con acuerdos de encargado de tratamiento, cifrado en tránsito y en reposo, y control de acceso por rol. Nunca WhatsApp para PHI no cifrada.

APIs FHIR R4: intercambio RESTful en tiempo real para acceso a registros estructurados. Habilitada progresivamente en los sistemas de HCE certificados en la UE conforme al European Health Data Space (EHDS).

Historia Clínica Digital del SNS: el sistema español de interoperabilidad entre comunidades autónomas. Permite el acceso a resúmenes clínicos del paciente en cualquier comunidad.

Transferencia cifrada ad hoc: para los casos que no encajan en los conductos estandarizados —estudios de imagen grandes, paquetes de derivación con múltiples adjuntos, documentación clínica urgente—, un servicio con cifrado de extremo a extremo y acuerdo de encargado de tratamiento RGPD.

Métodos de transmisión seguros por caso de uso

Distintas situaciones exigen canales diferentes:

• Derivación clínica urgente: mensajería segura o teléfono con nota en HCE posterior
• Consulta rutinaria: mensajería clínica segura con adjunto C-CDA o FHIR
• Transferencia de imagen: intercambio cloud de imágenes con DICOMweb o transferencia cifrada
• Resultados de laboratorio: HL7 v2 sobre VPN o FHIR Observation
• Comunicación con el paciente: portal de paciente o mensajería cifrada con acuerdo BAA/DPA
• Urgencias: verbal con documentación posterior en HCE

Nunca use correo electrónico sin cifrar, SMS estándar ni mensajería de consumo para datos de salud. Estos canales solo son aceptables si el paciente los solicita expresamente y ha firmado el consentimiento documentado conociendo el riesgo.

Base criptográfica: cómo debe verse una implementación correcta

El RGPD trata el cifrado como medida técnica apropiada; en 2026, cualquier implementación que no alcance el estándar moderno es difícilmente defendible ante la AEPD:

• En reposo: AES-256-GCM para disco y cifrado de base de datos
• En tránsito: TLS 1.3 preferido; TLS 1.2 con suites AEAD aceptable; TLS 1.0 y 1.1 prohibidos
• Gestión de claves: respaldada por HSM (AWS KMS, Azure Key Vault, Google Cloud KMS, HSM local)
• Almacenamiento de contraseñas: nunca en texto plano; use PBKDF2 con 600.000+ iteraciones o Argon2id
• Cifrado de copias de seguridad: el mismo estándar AES-256-GCM que producción

Para transferencias con cifrado de extremo a extremo, las implementaciones utilizan AES-256-GCM con claves por archivo derivadas mediante PBKDF2 o Argon2id a partir de una contraseña del usuario. La clave nunca toca el servidor.

Registros de auditoría que ayudan en investigaciones reales

El artículo 32 del RGPD exige controles de acceso y trazabilidad. Los registros deben capturar:

• Identidad del usuario (vinculada a ID único)
• Marca temporal (UTC, sincronizada con NTP)
• Acción realizada (visualización, creación, actualización, eliminación, impresión, exportación, descarga)
• Registro objetivo (identificador del paciente)
• Origen (estación de trabajo, IP, aplicación)
• Resultado (éxito, fallo, denegación)

Envíe los registros a un SIEM centralizado (Splunk Cloud, Microsoft Sentinel, Elastic Security). Reténgalos al menos 5 años conforme a la normativa española de historia clínica. Protéjalos contra manipulación: una vez escritos, deben ser de solo adición, con integridad criptográfica (cadenas de hash, almacenamiento WORM).

Trimestralmente, revise los registros en busca de anomalías: accesos fuera de horario a pacientes VIP, descargas masivas, accesos a historiales de conocidos (el cotilleo de compañeros es un patrón recurrente de infracción).

Gestión de brechas: el plazo de 72 horas

Si los datos sanitarios se ven comprometidos (laptop perdida, phishing, ransomware, divulgación involuntaria), el RGPD impone plazos estrictos:

• Detección: inicio del cómputo
• Contención: horas o días
• Evaluación: determinar alcance y afectados
• Notificación a la AEPD: dentro de las 72 horas (artículo 33 RGPD)
• Notificación a los afectados: sin dilación indebida si existe alto riesgo (artículo 34 RGPD)
• Notificación al INCIBE-CERT: para incidentes en infraestructuras sanitarias críticas

Las organizaciones que cuentan con un plan de respuesta a incidentes preestablecido —abogado de brechas, empresa forense, plantillas de notificación— gestionan el incidente en días. Las que improvisan, en semanas.

Categorías especiales: salud mental, adicciones, genética

Algunas categorías requieren salvaguardas adicionales bajo la normativa española:

• Datos de salud mental: mayor restricción en el acceso y la divulgación; consentimiento explícito para la mayoría de las comunicaciones
• Datos de drogodependencias: legislación específica autonómica con requisitos de consentimiento más estrictos
• Información genética: el RGPD prohíbe usos distintos del fin original; las leyes autonómicas añaden requisitos
• Historiales de menores: la Ley Orgánica de Protección Integral a la Infancia y la Adolescencia (LOPIVI) rige el acceso parental y el consentimiento del menor

Integre estas distinciones en el flujo de trabajo de su sistema de HCE. Un botón genérico "enviar todos los registros" que incluya datos de salud mental sin consentimiento específico constituye una infracción grave del RGPD.

Formación que cambia comportamientos

La formación anual de clic no cambia comportamientos. Más efectivo:

• Simulaciones trimestrales de phishing con formación inmediata para quienes caen
• Escenarios específicos por rol (recepción, enfermería, médico, IT, administración)
• Casos reales de sanciones de la AEPD, con cifras de multa
• Ejercicios de mesa para respuesta a incidentes
• Política de sanciones documentada y efectivamente aplicada

Documente las tasas de finalización y puntuaciones de evaluación. Retenga los registros de formación al menos 5 años.

Un programa de seguridad de datos del paciente que funciona

Para transferencias ad hoc seguras fuera de los sistemas integrados —urgencias, segunda opinión, derivaciones con imagen adjunta—, HexaTransfer ofrece cifrado de extremo a extremo en el navegador con AES-256-GCM. El servidor nunca ve el contenido en claro.

Pruébelo en https://hexatransfer.com — sin cuenta, hasta 10 GB, gratuito.